Door Anoniem: @Erik van Straten
Om dat toch een inhoudelijke reactie te geven: je voorstel moet wel rekening houden met de AVG definitie van pseudonimisering: “het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;”.
Als je als gevaccineerde toegang krijgt tot het H getal, de aanvullende gegevens, lijkt het mij stug dat er sprake kan zijn van “technische en organisatorische maatregelen”.
Dank voor de inhoudelijke reactie!
Dat
een gevaccineerde toegang heeft tot diens
eigen gegevens, is niet een probleem dat de AVG tracht aan te pakken; die wet is juist bedoeld om te voorkomen dat allerlei organisaties uit eigenbelang persoonsgegevens verzamelen - zoals van gevaccineerden. Individuen, waaronder gevaccineerden, ontlenen juist rechten over
hun gegevens vanuit de AVG!
Mijn voorstel voldoet m.i. prima aan de eisen de je beschrijft: het RIVM kan haar werk doen doordat zij weet hoe de vaccinatiegraad is per regio - zonder exact te weten welke individuen zijn gevaccineerd. In noodgevallen kan het RIVM de huisarts van een gevaccineerde verzoeken contact op te nemen met een of meer van diens specifieke patiënten - zonder dat het RIVM te weten komt om wie het daarbij precies gaat.
Je zou dit onzin kunnen vinden omdat je alle medewerkers van het RIVM vertrouwt. Los van dat ik dat onverstandig vind, trekt elke database met informatie over (inclusief identificerende informatie van) veel mensen, cybercriminelen aan als vliegen op stroop. Naast dat het RIVM in het verleden niet in staat bleek gevoelige persoonsgegevens fatsoenlijk te beschermen tegen ongeautoriseerde toegang, is het
sowieso disproportioneel dat het RIVM dit soort zeer vertrouwelijke gegevens van het grootste deel van de Nederlandse bevolking in een database verzamelt.
Juist door de uniek identificerende persoonsgegevens te verwijderen uit die database, verklein je de risico's, namelijk dat gegevens van zeer veel burgers
in één keer in verkeerde handen kunnen vallen en vervolgens massaal worden misbruikt.
Maar ook maak je het een foute RIVM-medewerker moelijker om van individuele burgers (zoals BN-ers) te achterhalen of specifieke personen zijn ingeënt (en die informatie bijv. aan de roddelpers te verkopen).
Als huisartsen zich aan hun geheimhoudingsplicht houden, kunnen cybercriminelen en/of foute RIVM medewerkers niet van individuen achterhalen of zij zijn ingeënt - en wie weet welke aanvullende, potentieel disproportionele, informatie aan personen koppelen die het RIVM nog meer in zo'n database zou willen stoppen, zoals leeftijdscategorie, M/V, etniciteit, (over) gewicht, lengte, inkomenscategorie, ... (disproportioneel als de kennis daarvan m.b.t. het bestrijden van de pandemie onvoldoende in verhouding staat tot de risico's die de betrokkenen lopen - een risico dat toeneemt met elk stukje identificerende informatie en dat niet alleen door het RIVM bepaald mag worden - als een slager die zijn eigen vlees keurt).
Door Anoniem: Pseudonimisering in de AVG kan je beter vergelijken met encryptie, waarbij de sleutels als aanvullende gegevens wel goed beveiligd (moeten) worden. In je voorstel lijkt het mij dus ook te voorbarig om te spreken van pseudonimisering, althans, als je dit opvat in termen van de AVG.
Bij pseudonimisering is er sprake van twee partijen:
1) De organisatie die persoonsgerelateerde gegevens verzamelt zonder van elke set gegevens te weten om wie het gaat, maar deze koppelt aan een unieke "
alias" (in dit geval het RIVM);
2) Een of meerdere TTP's (Trusted Third Party/Parties) die de koppeling tussen bovengenoemde aliasen en bijbehorende personen kunnen maken (in mijn voorstel huisartsen, maar dit zou ook de lokale GGD'en kunnen zijn).
Elke unieke alias kun je zowel met encryptie, met een cryptografische éénwegfunctie (hash, al dan niet met salt), of met een random number generator genereren - of gebruik maken van een enumerator (opvolgende getallen). In de laatste twee gevallen is er geen sprake meer van een rekenkundige afgeleide van persoonsgegevens en moet elke TTP dus een opzoektabel aanleggen.
Als je voor encryptie kiest met één gemeenschappelijke sleutel, bestaat het risico dat als die sleutel in handen van partij 1 valt, die partij (en individuen met ongeautoriseerde toegang) in één keer van elke persoon weten om wie het gaat; als je voor een unieke sleutel
per persoon kiest, heb je weer een opzoektabel nodig.
Cryptografische hashes zijn populair voor pseudonimisering omdat je geen gedoe hebt met sleutels en/of opzoektabellen, en je desgewenst van salt(s) gebruik kunt maken die niet geheim gehouden hoeven te worden (waardoor je deze kunt
meegeven met de alias en niet zelf hoeft te onthouden).
Voorwaarde voor het gebruik van cryptografische hashes is dat de input voldoende "entropie" (mogelijke cijfercombinaties) moet hebben om niet met "reverse brute force" (vaak opgeslagen in een rainbow table) te kunnen worden aangevallen (salts maken dit lastiger, maar niet onmogelijk, en hetzelfde geldt voor algoritmes als scrypt, bcrypt, PBKDF2, Argon2, ...). Dat de input voldoende entropie moet hebben, geldt overigens ook voor encryptie met één gemeenschappelijke (geheime) sleutel - die mogelijk zelfs achterhaald kan worden bij veel korte reeksen versleutelde bytes van voorspelbare "plain text". Een BSN is simpelweg veel te kort voor dit doel.
Door Anoniem: Ik denk dat de eerste stap is duidelijk op papier krijgen wat het doel van een dergelijke database is.
Als het goed is hebben het RIVM en de AP dit document, en krijgen jij en ik dat niet te zien. Op basis van publieke uitspraken van o.a. minister de Jonge weten we echter al dat daar "gewoon" tot personen te herleiden gegevens in zullen komen, en dat vind ik disproportioneel (het gaat mij hierbij niet zozeer om mij persoonlijk, maar om alle Nederlanders die geen flauw benul hebben van alle gegevens die over hen worden verzameld en welke persoonlijke risico's zij daardoor lopen).
Door Anoniem: Als dat alleen maar de vaccinatiegraad is, dan lijkt mij dat prima te kunnen met geanonimiseerde gegevens.
Nee, dat kan niet als je wilt bijhouden of mensen de noodzakelijke 2 of 3 inentingen hebben gehad met het juiste interval en/of in kaart wilt brengen welke onverwachte ernstige bijwerkingen er optreden.
Door Anoniem: Als het gaat om het traceren van bijwerkingen, dan lijkt het mij dat die gegevens niet vooraf al verzameld hoeven te worden. Als het gaat om het identificeren van verkeerde batches, dan kan je ook gewoon met een stikker of brief naar de huisarts werken.
We kunnen vanalles bedenken, maar het aanleggen van grote databases met veel vertrouwelijke persoonsgegevens is hartstikke trendy, simpel en goedkoop - en de risico's (waar zelden vooraf over wordt nagedacht) zijn er vooral voor jou en mij, niet voor de ontwerpers en gebruikers van dit soort systemen, en ook niet voor de verantwoordelijke politici ("dat is de schuld van een ander ministerie", "ik ben het vergeten", "die brief heeft niet op mijn bureau gelegen", "een hoge ambtenaar heeft iets voor mij achtergehouden maar vanwege de privacy kan ik niet zeggen wie dat is", en "
mocht ik toch gewieberd worden, kan ik zo ergens burgemeester of raad-van-bestuurder worden, dus who cares").
Door Anoniem: Duidelijkheid over wie welke informatie en voor welk doel nodig heeft, dat is de eerste stap.
Dat wordt eenzijdig bepaald zonder dat degenen die risico's lopen daar invloed op hebben.
Door Anoniem: Wie weet is het wel noodzakelijk voor het RIVM om direct contact op te nemen met iemand.
Geef mij (beter: laat het RIVM dat doen) één goede reden waarom dat zo belangrijk zou zijn - als dat al denkbaar is in de praktijk (ze bijv. de mensen daarvoor hebben). Je moet "
dat bepaalde informatie best wel eens handig kan zijn" afwegen tegen de risico's van alle betrokkenen, en daarom horen al die betrokkenen daar ook hun zegje in te hebben. Als dat onvoldoende gewaarborgd wordt door de AVG, moet deze ASAP vervangen worden door een wet met
wél fatsoenlijke privacywaarborgen.
Onze overheid heeft duidelijk nog nauwelijks geleerd van de toeslagenaffaire; zij is in dienst van de burgers en niet andersom. Een van hun belangrijkste taken is het beschermen van die burgers - in plaats van die burgers in te gevaar brengen en daarbij notabene de wettelijke grenzen op te zoeken (of zelfs te overschrijden) en privacy-adviezen van deskundigen aan de laars te lappen (
https://security.nl/posting/672227). "Niet de grenzen opzoeken" vraagt diezelfde overheid notabene
wel aan ons burgers...